Dokumentacja do ustawy Krajowy System Cyberbezpieczeństwa w podmiotach samorządowych - szkoły, przedszkola, żłobki, ośrodki kultury, domy pomocy społecznej

• Przedstawiciele samorządowych: żłobków; przedszkoli; szkół i zespołów szkolno-przedszkolnych; centrów, ośrodków i domów kultury; domów pomocy społecznej.
• W szkoleniu mogą uczestniczyć w szczególności: 
  - dyrektorzy i zastępcy oraz kierownicy jednostek
  - sekretarze i pracownicy administracyjni
  - osoby odpowiedzialne za systemy informatyczne
  - pracownicy centrów usług wspólnych
  - inspektorzy ochrony danych
  - osoby odpowiedzialne za bezpieczeństwo informacji
  - osoby wyznaczone do kontaktów w ramach krajowego systemu cyberbezpieczeństwa
  - pracownicy przygotowujący procedury, zarządzenia i dokumentację kontrolną.

Przygotowanie uczestników do samodzielnego uporządkowania i uzupełnienia dokumentacji bezpieczeństwa informacji w taki sposób, aby:

• wykorzystać dokumenty posiadane na potrzeby KRI
• zidentyfikować dokumenty przydatne również na potrzeby KSC
• przeprowadzić uproszczoną analizę braków
• określić, które dokumenty należy: pozostawić, zaktualizować, rozszerzyć, połączyć, opracować od początku
• przygotować plan osiągnięcia zgodności z wymaganiami KSC
• zapewnić dokumenty i rejestry potwierdzające, że procedury są rzeczywiście wykonywane.

Moduł 1. Obowiązki samorządowego podmiotu publicznego w KSC

1. Status samorządowego podmiotu publicznego jako podmiotu ważnego.
2. Różnica między podmiotem ważnym a podmiotem kluczowym.
3. Obowiązki wynikające z:
   - art. 8 KSC
   - załącznika nr 4 do ustawy
   - art. 9–14 KSC
   - rozporządzenia KRI.
4. Znaczenie art. 8 ust. 3 KSC dla podmiotu ważnego będącego podmiotem publicznym.
5. Odpowiedzialność dyrektora lub kierownika jednostki.
6. Rola urzędu gminy, miasta lub powiatu.
7. Rola centrum usług wspólnych.
8. Możliwość powierzenia części zadań dostawcy zewnętrznemu.
9. Dlaczego powierzenie zadania nie przenosi całej odpowiedzialności kierownika.
10. Dokumentacja jako element praktycznie działającego SZBI, a nie wyłącznie zbiór procedur.

Moduł 2. Co można wykorzystać z dokumentacji KRI

1. Inwentaryzacja dokumentacji posiadanej przez jednostkę.
2. Identyfikowanie dokumentów:
   - aktualnych
   - nieaktualnych
   - formalnie obowiązujących, ale niestosowanych
   - stosowanych, ale niezatwierdzonych
   - dublujących inne regulacje
   - przygotowanych wyłącznie na potrzeby kontroli.
3. Dokumenty KRI, które zazwyczaj można wykorzystać:
   - polityka bezpieczeństwa informacji
   - instrukcja zarządzania systemami
   - analiza ryzyka
   - rejestr sprzętu i oprogramowania
   - zasady zarządzania uprawnieniami
   - procedura tworzenia kopii zapasowych
   - procedura zgłaszania incydentów
   - zasady pracy zdalnej
   - zasady korzystania z urządzeń mobilnych
   - procedura aktualizacji oprogramowania
   - zasady współpracy z serwisem IT
   - dokumentacja audytów KRI.
4. Dokumenty RODO, które mogą wspierać realizację KSC:
   - rejestr czynności przetwarzania
   - analiza ryzyka
   - procedura naruszeń ochrony danych
   - upoważnienia
   - umowy powierzenia
   - zasady retencji i usuwania danych.
5. Różnica pomiędzy dokumentem a dowodem jego stosowania.
6. Jak nie powielać tych samych zasad w kilku procedurach.

Moduł 3. Analiza luk KRI–KSC i projekt docelowej dokumentacji

1. Jak przeprowadzić uproszczoną analizę luk.
2. Kategorie oceny:
   - wymaganie spełnione
   - wymaganie częściowo spełnione
   - dokument istnieje, ale nie jest stosowany
   - brak dokumentu
   - brak zabezpieczenia
   - brak dowodu wykonania.
3. Typowe elementy wspólne dla KRI i KSC:
   - analiza ryzyka
   - inwentaryzacja aktywów
   - zarządzanie uprawnieniami
   - aktualizacje
   - kopie zapasowe
   - szkolenia
   - zgłaszanie incydentów
   - bezpieczeństwo dostawców
   - logowanie zdarzeń
   - audyt wewnętrzny.
4. Typowe braki w dokumentacji małych jednostek:
   - brak określenia zakresu SZBI
   - brak wykazu zadań i usług wspieranych przez systemy
   - brak właścicieli systemów i ryzyka
   - brak rejestru dostawców ICT
   - brak zasad zarządzania podatnościami
   - brak procedury monitorowania
   - brak formalnych zasad ciągłości działania
   - brak planu odtworzenia
   - brak klasyfikacji incydentów
   - brak zasad współpracy z CSIRT
   - brak dokumentowania testów
   - brak podziału odpowiedzialności z CUW albo urzędem.
5. Ustalenie minimalnego, racjonalnego zestawu dokumentów.
6. Dokumentacja normatywna i operacyjna.

Moduł 4. Zakres SZBI, systemy, aktywa i ocena ryzyka

1. Ustalenie zakresu SZBI.
2. Identyfikacja zadań publicznych realizowanych przez jednostkę.
3. Powiązanie:
   - zadania publicznego
   - procesu
   - informacji
   - systemu
   - sprzętu
   - dostawcy
   - osoby odpowiedzialnej.
4. Rejestr systemów informacyjnych.
5. Rejestr aktywów.
6. Klasyfikacja informacji.
7. Systemy własne, zewnętrzne i współdzielone.
8. Systemy dostarczane przez inny podmiot publiczny.
9. Podstawy szacowania ryzyka.
10. Identyfikowanie:
    - zagrożeń
    - podatności
    - prawdopodobieństwa
    - skutków
    - istniejących zabezpieczeń.
11. Postępowanie z ryzykiem.
12. Zatwierdzenie i akceptacja ryzyka przez kierownika.

Przykładowe aktywa i systemy:

Żłobek i przedszkole

• system obsługi opłat
• system zapisów
• dokumentacja dzieci i rodziców
• monitoring wizyjny
• poczta elektroniczna
• komputery administracji
• urządzenia wykorzystywane przez nauczycieli lub opiekunów.

Szkoła

• dziennik elektroniczny
• system informacji oświatowej
• system rekrutacji
• infrastruktura sieciowa
• pracownie komputerowe
• system egzaminacyjny
• system finansowo-kadrowy
• poczta elektroniczna
• strony internetowe i BIP.

Centrum kultury

• system sprzedaży i rezerwacji biletów
• system zapisów na zajęcia
• baza uczestników
• system księgowy
• strona internetowa
• media społecznościowe
• system kontroli dostępu
• monitoring.

DPS

• system obsługi mieszkańców
• dokumentacja opiekuńcza i medyczna
• system ewidencji leków
• system żywienia
• system finansowo-księgowy
• system kadrowy
• monitoring i kontrola dostępu
• system przywoławczy
• urządzenia personelu.

Ćwiczenie: Przygotowanie uproszczonej karty ryzyka dla wybranego systemu.

Moduł 5. Procedury priorytetowe: incydenty, ciągłość działania i dostawcy

Część A. Zarządzanie incydentami

1. Zdarzenie a incydent.
2. Cyberzagrożenie i podatność.
3. Kanały zgłaszania incydentów przez pracowników.
4. Osoby odpowiedzialne za przyjęcie zgłoszenia.
5. Klasyfikacja i eskalacja.
6. Współpraca z obsługą IT.
7. Współpraca z właściwym CSIRT.
8. Zabezpieczanie informacji o incydencie.
9. Rejestr incydentów.
10. Powiązanie incydentu KSC z naruszeniem ochrony danych osobowych.

Część B. Ciągłość działania

1. Zadania, które jednostka musi wykonywać mimo awarii.
2. Różnica pomiędzy kopią zapasową a planem ciągłości działania.
3. Ustalenie alternatywnego sposobu pracy.
4. Kolejność odtwarzania systemów.
5. Kontakty awaryjne.
6. Testowanie planów.
7. Dokumentowanie testów.

Część C. Dostawcy ICT

1. Rejestr dostawców.
2. Dostawcy krytyczni.
3. Dostęp zdalny serwisu.
4. Zgłaszanie incydentów przez dostawcę.
5. Aktualizacje i usuwanie podatności.
6. Kopie zapasowe i odtwarzanie.
7. Podwykonawcy.
8. Zakończenie współpracy.
9. Podział odpowiedzialności między jednostką, urzędem, CUW i firmą IT.

Ćwiczenie scenariuszowe: Opracowanie sposobu postępowania w przypadku zaszyfrowania komputera administracji i utraty dostępu do wykorzystywanego systemu.

Moduł 6. Docelowy pakiet dokumentacji dla jednostki

Rekomendowany dokument nadrzędny:

1. Zarządzenie dyrektora lub kierownika w sprawie ustanowienia SZBI.
2. Polityka bezpieczeństwa informacji i cyberbezpieczeństwa.
3. Zakres SZBI.
4. Opis ról i odpowiedzialności.
5. Zasady nadzoru nad dokumentacją.

Rekomendowane procedury:

1. Procedura zarządzania aktywami.
2. Procedura szacowania i obsługi ryzyka.
3. Procedura zarządzania dostępem i uprawnieniami.
4. Procedura zarządzania incydentami.
5. Procedura aktualizacji i podatności.
6. Procedura kopii zapasowych i odtwarzania.
7. Procedura współpracy z dostawcami ICT.
8. Procedura monitorowania i przeglądu logów.
9. Zasady pracy zdalnej i korzystania z urządzeń mobilnych.
10. Plan ciągłości działania.
11. Plan odtworzenia systemów.
12. Procedura szkoleń i budowania świadomości.
13. Procedura audytu i przeglądu SZBI.

Rekomendowane rejestry i formularze:

1. Rejestr zadań i usług.
2. Rejestr systemów.
3. Rejestr aktywów.
4. Rejestr ryzyka.
5. Plan postępowania z ryzykiem.
6. Rejestr dostawców.
7. Rejestr uprawnień.
8. Rejestr incydentów.
9. Lista kontaktowa.
10. Rejestr kopii zapasowych i testów odtworzeniowych.
11. Rejestr podatności i aktualizacji.
12. Rejestr szkoleń.
13. Rejestr audytów, niezgodności i działań korygujących.
14. Rejestr przeglądów dokumentacji.

Zasada proporcjonalności

W małej jednostce część procedur można połączyć. Przykładowo jeden dokument może regulować:

• aktualizacje, podatności i zmiany
• kopie zapasowe, odtwarzanie i ciągłość działania
• incydenty KSC i naruszenia ochrony danych
• zarządzanie dostawcami i dostęp serwisowy.

Nie należy jednak łączyć dokumentów w sposób, który utrudnia:

• przypisanie odpowiedzialności
• zrozumienie kolejności czynności
• aktualizowanie procedur
• wykazanie wykonania obowiązku podczas kontroli.

Moduł 7. Plan wdrożenia po szkoleniu

Etap 1. Inwentaryzacja

• zebranie dokumentacji KRI, RODO i IT
• wskazanie dokumentów obowiązujących
• wycofanie nieaktualnych wersji
• ustalenie właścicieli dokumentów.

Etap 2. Analiza zakresu

• wykaz zadań publicznych
• wykaz procesów
• wykaz systemów i informacji
• wykaz dostawców oraz systemów współdzielonych.

Etap 3. Analiza luk

• porównanie dokumentacji z KSC
• wskazanie braków
• ustalenie priorytetów
• przypisanie osób odpowiedzialnych.

Etap 4. Aktualizacja dokumentacji

• aktualizacja polityki bezpieczeństwa
• opracowanie procedur priorytetowych
• przygotowanie rejestrów
• zatwierdzenie dokumentacji przez kierownika.

Etap 5. Wdrożenie

• zapoznanie pracowników
• szkolenia
• uruchomienie rejestrów
• wdrożenie zabezpieczeń
• ustalenie współpracy z CUW, urzędem i dostawcami.

Etap 6. Weryfikacja

• test procedury incydentowej
• test odtworzenia kopii zapasowej
• test ciągłości działania
• audyt wewnętrzny
• przegląd kierowniczy
• plan działań korygujących.

Materiały przekazywane uczestnikom:

• checklista wymagań dla samorządowego podmiotu ważnego
• wzór rejestru posiadanej dokumentacji
• macierz zgodności KRI–KSC
• formularz analizy luk
• wzór zakresu SZBI
• wzór wykazu zadań, procesów i systemów
• wzór rejestru aktywów
• uproszczona metodyka szacowania ryzyka
• wzór rejestru ryzyka
• wzór planu postępowania z ryzykiem
• wzór rejestru dostawców
• wzór kwestionariusza oceny dostawcy
• wzór rejestru incydentów
• karta obsługi incydentu
• wzór listy kontaktowej
• wzór planu ciągłości działania
• karta testu odtworzeniowego
• wzór docelowego spisu dokumentacji
• wzór harmonogramu wdrożenia
• lista dowodów potwierdzających wykonywanie procedur.

Prawnik, audytor wewnętrzny oraz inspektor ochrony danych, posiadający doświadczenie zawodowe zdobyte w administracji publicznej oraz Najwyższej Izbie Kontroli.

Zdał egzamin na audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy ISO/IEC 27001. Od 9 lat prowadzi szkolenia z zakresu ochrony danych osobowych, bezpieczeństwa informacji oraz praktycznego stosowania wymagań prawnych i organizacyjnych w jednostkach sektora publicznego. Współpracuje z jednostkami samorządowymi (szkoły, żłobki, domy kultury, ośrodki pomocy społecznej).

Doświadczenie prawnicze, kontrolne i audytowe pozwala mu przedstawiać wymagania dotyczące KRI, KSC i ochrony danych osobowych nie tylko od strony formalnej, lecz także z perspektywy ich rzeczywistego wdrażania, dokumentowania oraz przygotowania jednostki do audytu lub kontroli.

Czas trwania: 8:30 - 14:30

Szkolenie stacjonarne

• Cena od osoby obejmuje:
  dydaktykę, materiały szkoleniowe, indywidualne konsultacje, zaświadczenie, serwis kawowy, lunch
• Miejsce szkolenia:
  Siedziba Przedsiębiorstwa BT, Bielsko-Biała, ul. Inwalidów 2c

Szkolenie online

• Cena od osoby obejmuje:
  dostęp do platformy ClickMeeting w czasie realizacji szkolenia z możliwością zadawania pytań poprzez czat z wykładowcą, materiały szkoleniowe - przesłane w dniu szkolenia przed jego rozpoczęciem, zaświadczenie
• Warunki techniczne:
  komputer, laptop podłączony do stabilnej sieci z szybkim połączeniem internetowym, najnowsza wersja jednej z popularnych obecnie przeglądarek - np. Chrome, Firefox, Opera itp.